| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: worm/trojana entfernenWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
| |
05.08.2010, 16:03
| #1 |
| /// Winkelfunktion /// TB-Süch-Tiger™   |  worm/trojana entfernen Combofix - Scripten 1. Starte das Notepad (Start / Ausführen / notepad[Enter]) 2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein. Code:
ATTFilter File::
g:\winxp\system32\comsysh.exe
Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"=-
"9058:TCP"=-
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"=-
"DisableUnicastResponsesToMulticastBroadcast"=-
NetSvc::
qkzjm
Driver::
qkzjm
4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall. (Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !) 5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.  6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien: Combofix.txt Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!
__________________ Logfiles bitte immer in CODE-Tags posten  |
|
10.08.2010, 17:49
| #2 |
 | worm/trojana entfernenCode:
ATTFilter ComboFix 10-08-04.02 - ~°°~ 08.08.2010 4:59.2.1 - x86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.1023.715 [GMT 2:00]
ausgeführt von:: g:\dokumente und einstellungen\~°°~\Desktop\cofi.exe
Benutzte Befehlsschalter :: g:\dokumente und einstellungen\~°°~\Desktop\CFScript.txt
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
FILE ::
"g:\winxp\system32\comsysh.exe"
.
(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
g:\winxp\system32\comsysh.exe
.
((((((((((((((((((((((((((((((((((((((( Treiber/Dienste )))))))))))))))))))))))))))))))))))))))))))))))))
.
-------\Legacy_QKZJM
-------\Service_qkzjm
((((((((((((((((((((((( Dateien erstellt von 2010-07-10 bis 2010-08-10 ))))))))))))))))))))))))))))))
.
2010-08-04 19:22 . 2010-08-04 19:22 -------- d-----w- g:\programme\CCleaner
2010-07-29 20:00 . 2010-07-29 20:00 -------- d-----w- g:\dokumente und einstellungen\~°°~\Anwendungsdaten\Malwarebytes
2010-07-29 19:16 . 2010-04-29 10:19 38224 ----a-w- g:\winxp\system32\drivers\mbamswissarmy.sys
2010-07-29 19:16 . 2010-07-29 19:16 -------- d-----w- g:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-07-29 19:16 . 2010-04-29 10:19 20952 ----a-w- g:\winxp\system32\drivers\mbam.sys
2010-07-29 19:16 . 2010-07-29 19:16 -------- d-----w- g:\programme\Malwarebytes' Anti-Malware
2010-07-29 16:27 . 2010-07-29 18:42 -------- d-----w- G:\WinSetupFromUSB
2010-07-29 16:21 . 2010-07-29 16:26 -------- d-----w- G:\WINXPCD
2010-07-26 17:12 . 2010-07-26 17:12 -------- d-----w- g:\programme\Alwil Software
2010-07-26 17:12 . 2010-07-26 17:12 -------- d-----w- g:\dokumente und einstellungen\All Users\Anwendungsdaten\Alwil Software
2010-07-25 16:51 . 2010-03-01 08:05 124784 ----a-w- g:\winxp\system32\drivers\avipbb.sys
2010-07-25 16:51 . 2010-07-25 16:51 -------- d-----w- g:\programme\Avira
2010-07-25 16:51 . 2010-07-25 16:51 -------- d-----w- g:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira
2010-07-25 16:51 . 2010-02-16 12:24 60936 ----a-w- g:\winxp\system32\drivers\avgntflt.sys
2010-07-25 16:51 . 2009-05-11 10:49 45416 ----a-w- g:\winxp\system32\drivers\avgntdd.sys
2010-07-25 16:51 . 2009-05-11 10:49 22360 ----a-w- g:\winxp\system32\drivers\avgntmgr.sys
2010-07-20 21:06 . 2010-07-20 21:06 -------- d-----w- g:\winxp\Sun
2010-07-12 18:46 . 2010-07-12 18:46 -------- d-----w- g:\programme\uTorrent
2010-07-12 18:45 . 2010-07-13 17:57 -------- d-----w- g:\dokumente und einstellungen\~°°~\Anwendungsdaten\uTorrent
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-08-07 17:19 . 2009-07-06 20:30 67752 ----a-w- g:\dokumente und einstellungen\~°°~\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2010-07-27 18:12 . 2009-10-31 12:22 664 ----a-w- g:\winxp\system32\d3d9caps.dat
2010-07-26 20:23 . 2009-10-31 12:21 -------- d-----w- g:\programme\JDownloader
2010-07-26 17:15 . 2009-07-12 14:40 685816 ----a-w- g:\winxp\system32\drivers\sptd.sys
2010-07-25 15:32 . 2009-12-22 21:22 -------- d-----w- g:\dokumente und einstellungen\All Users\Anwendungsdaten\avg9
2010-07-05 15:33 . 2008-04-14 12:00 515954 ----a-w- g:\winxp\system32\perfh007.dat
2010-07-05 15:33 . 2008-04-14 12:00 100300 ----a-w- g:\winxp\system32\perfc007.dat
2010-07-05 15:33 . 2010-07-05 15:33 156864 ----a-w- g:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat
2010-07-05 15:32 . 2009-07-12 14:37 -------- d-----w- g:\programme\MSBuild
2010-07-05 15:32 . 2010-07-05 15:32 -------- d-----w- g:\programme\Reference Assemblies
.
------- Sigcheck -------
[-] 2008-07-08 . 451D0981F4CCA5697307AF90D799BDC3 . 1571840 . . [5.1.2600.5512] . . g:\winxp\system32\sfcfiles.dll
.
((((((((((((((((((((((((((((( SnapShot@2010-08-04_19.45.26 )))))))))))))))))))))))))))))))))))))))))
.
+ 2010-08-08 03:03 . 2010-08-08 03:03 16384 g:\winxp\Temp\Perflib_Perfdata_7dc.dat
+ 2010-08-10 16:40 . 2010-08-10 16:40 16384 g:\winxp\Temp\Perflib_Perfdata_5f0.dat
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="g:\programme\Gemeinsame Dateien\Nero\Lib\NMBgMonitor.exe" [2007-08-03 202024]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NVRaidService"="g:\winxp\system32\nvraidservice.exe" [2004-06-11 83968]
"GrooveMonitor"="g:\programme\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-26 31016]
"NvCplDaemon"="g:\winxp\system32\NvCpl.dll" [2007-12-04 8523776]
"nwiz"="nwiz.exe" [2007-12-04 1626112]
"NvMediaCenter"="g:\winxp\system32\NvMcTray.dll" [2007-12-04 81920]
"OODefragTray"="g:\winxp\system32\oodtray.exe" [2009-02-25 2553088]
"avgnt"="g:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-03-02 282792]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"msnmsgr"="g:\programme\Windows Live\Messenger\msnmsgr.exe" [2007-10-18 5724184]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nltide_2"="shell32" [X]
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute REG_MULTI_SZ autocheck autochk *\0OODBS
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MsnMsgr]
2007-10-18 07:04 5724184 ----a-w- g:\programme\Windows Live\Messenger\msnmsgr.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NBKeyScan]
2007-08-08 04:55 1828136 ----a-w- g:\programme\Nero\Nero8\Nero BackItUp\NBKeyScan.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
2007-03-01 11:27 153136 ----a-w- g:\programme\Gemeinsame Dateien\Nero\Lib\NeroCheck.exe
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001
"FirewallOverride"=dword:00000001
"AntiVirusDisableNotify"=dword:00000001
"FirewallDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"g:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=
"g:\\Programme\\Windows Live\\Messenger\\livecall.exe"=
"g:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"g:\\Programme\\Microsoft Office\\Office12\\GROOVE.EXE"=
"g:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"g:\\Programme\\FlashFXP\\FlashFXP.exe"=
"g:\\Programme\\ICQ6.5\\ICQ.exe"=
"g:\\Programme\\uTorrent\\uTorrent.exe"=
R2 AntiVirSchedulerService;Avira AntiVir Planer;g:\programme\Avira\AntiVir Desktop\sched.exe [25.07.2010 18:51 135336]
S2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;g:\winxp\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [18.03.2010 13:16 130384]
S3 vaxscsi;vaxscsi;g:\winxp\system32\drivers\vaxscsi.sys [12.07.2009 16:43 223128]
S3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0;g:\winxp\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [18.03.2010 13:16 753504]
S4 sptd;sptd;g:\winxp\system32\drivers\sptd.sys [12.07.2009 16:40 685816]
.
.
------- Zusätzlicher Suchlauf -------
.
IE: Nach Microsoft E&xel exportieren - g:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
TCP: {4AC37823-C7FB-4D41-B44A-9BBF124D7A85} = 192.168.3.1
FF - ProfilePath - g:\dokumente und einstellungen\~°°~\Anwendungsdaten\Mozilla\Firefox\Profiles\g12y59fi.default\
---- FIREFOX Richtlinien ----
g:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.lu", true);
g:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nu", true);
g:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nz", true);
g:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);
g:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);
g:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--p1ai", true);
g:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbayh7gpa", true);
g:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.tel", true);
g:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true);
g:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");
g:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);
g:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation", false);
.
**************************************************************************
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-08-10 18:41
Windows 5.1.2600 Service Pack 3 NTFS
Scanne versteckte Prozesse...
Scanne versteckte Autostarteinträge...
Scanne versteckte Dateien...
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\System*]
"OODEFRAG11.00.00.01WORKSTATION"="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"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
- - - - - - - > 'explorer.exe'(3868)
g:\winxp\system32\wpdshserviceobj.dll
g:\winxp\system32\portabledevicetypes.dll
g:\winxp\system32\portabledeviceapi.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
g:\programme\Avira\AntiVir Desktop\avguard.exe
g:\programme\Java\jre6\bin\jqs.exe
g:\programme\Avira\AntiVir Desktop\avshadow.exe
g:\programme\Nero\Nero8\Nero BackItUp\NBService.exe
g:\winxp\system32\oodag.exe
g:\winxp\system32\wbem\unsecapp.exe
g:\programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe
g:\programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2010-08-10 18:43:06 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2010-08-10 16:43
ComboFix2.txt 2010-08-04 19:47
Vor Suchlauf: 12 Verzeichnis(se), 41.499.308.032 Bytes frei
Nach Suchlauf: 13 Verzeichnis(se), 41.362.210.816 Bytes frei
- - End Of File - - CBF4465162AF8EAD2E99481E22219915
|
|
| Themen zu worm/trojana entfernen |
| .dll, anti, antivir, antivirus, einstellungen, entfernen, files, frage, fragen, installiert, internet, kleines, lokale, löschen, netzwerk, pferd, prob, temporary, tot, virus, win, win xp, win xp pro, win32, worm |
Hybrid-Darstellung
